Linux. От новичка к профессионалу. 6-е изд

31.4.3. Шлюз своими руками
Создать шлюз в Linux очень просто, и сейчас вы сами в этом убедитесь. Гораздо 
сложнее правильно его настроить, чтобы шлюз не только выполнял свою непосред-
ственную функцию (т. е. передачу пакетов из локальной сети в Интернет и обрат-
но), но и защищал сеть.
В последнее время очень популярны DSL-соединения, поэтому будем считать, что 
для подключения к Интернету используется именно DSL-соединение. Впрочем, вся
Таблица 31.4
 (окончание)

---

Гпава 31. Маршрутизация. Настройка брандмауэра
489
разница только в названии интерфейса — ррр0. Вполне может быть, что у вас иная 
конфигурация. Например, у вас может быть два сетевых интерфейса: eth0 и ethl. 
Первый «смотрит» в локальную сеть, а второй — подключен к Интернету. Тогда и 
правила вы будете формировать исходя из того, что соединение с Интернетом про-
исходит по интерфейсу ethl.
При DSL-соединении у нас тоже будет два сетевых адаптера. Первый (eth
0
) под-ключен к 
локальной сети, а к второму (ethl) подключен DSL-модем. Перед на-стройкой шлюза 
проверьте, действительно ли это так. Вполне может оказаться, что сетевая плата, к 
которой подключен DSL-модем, — это интерфейс eth
0
, а не ethl. Тогда вам придется или 
изменить названия интерфейсов при формировании пра-вил, или просто подключить 
модем к другому сетевому адаптеру.
IP-адрес DSL-соединения будет динамическим (обычно так оно и есть), а вот сете-
вому адаптеру, обращенному к локальной сети, назначим IP-адрес 192.168.1.1. Вы 
можете использовать и другой адрес (адрес должен быть локальным, если только 
у вас нет подсети с реальными IP-адресами).
Итак, мы настроили локальную сеть, узнали имена сетевых адаптеров, включили 
IP-переадресацию. Осталось только ввести команду:
sudo iptables -t nat -A POSTROUTING -o pppO -j MASQUERADE
Установите на всех компьютерах вашей сети IP-адрес 192.168.1.1 в качестве шлюза 
по умолчанию (можно настроить DHCP-сервер, чтобы не настраивать все компью-
теры вручную) и попробуйте «пропинговать» с любого узла какой-нибудь сайт — 
оказывается, вы прочитали всю эту главу ради одной такой строчки. Так и есть. Но, 
сами понимаете, на этом настройка шлюза не заканчивается. Надо еще защитить 
вашу сеть. Как минимум, требуется установить следующие действия по умолча-
нию:
sudo iptables -Р INPUT DROP 
sudo iptables -P FORWARD ACCEPT 
sudo iptables -P OUTPUT DROP
Разрешим входящие соединения на шлюз только от узлов нашей внутренней сети 
192.168.1.0:
sudo iptables -A INPUT -i